CVE-2026-14563
KrytyczneCVSS 9.8Streszczenie
Wtyczka WordPress advanced-customized-prompts w wersjach do 1.0.1 nie weryfikuje hasła przed utworzeniem uwierzytelnionej sesji dla podanego adresu e-mail w akcji dostępnej bez uwierzytelnienia. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny zarejestrowany użytkownik, w tym administrator, lub utworzenie dowolnych nowych kont.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad witryną WordPress, logując się jako administrator bez znajomości hasła. Prowadzi to do całkowitego przejęcia serwisu i możliwości wykonania dowolnych działań.
Rekomendacja
Natychmiast zaktualizuj wtyczkę advanced-customized-prompts do wersji zawierającej poprawkę lub ją wyłącz i usuń. Sprawdź logi pod kątem nieautoryzowanych logowań i utworzonych kont.
Inne podatności w advanced-customized-prompts WordPress plugin
Zobacz wszystkie- CVE-2026-14566Średnie
Wtyczka WordPress advanced-customized-prompts do wersji 1.0.1 nie wykonuje żadnego sprawdzenia uprawnień, własności ani nonce przed aktualizacją metadanych pozycji zamówienia WooCommerce dla podanego zamówienia. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, manipulowanie niestandardowymi metadanymi zamówień należących do innych klientów.
- CVE-2026-14565Średnie
Wtyczka WordPress advanced-customized-prompts do wersji 1.0.1 nie wykonuje żadnego sprawdzenia uprawnień, własności ani nonce przed zapisaniem konfiguracji popupu do produktu, ani nie escapuje zapisanych wartości przy wyświetlaniu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zapisanie kodu JavaScript, który wykona się w przeglądarce odwiedzających dany produkt.
Oryginalny opis (angielski, źródło NVD)
The advanced-customized-prompts WordPress plugin through 1.0.1 does not verify the password before issuing an authenticated session for a supplied email address in an unauthenticated action, allowing unauthenticated attackers to log in as any registered user, including administrators, or to create arbitrary new accounts.